---
title: "Autenticação"
url: "https://devcenter.stone.com.br/foundations-auth"
image: "https://devcenter.stone.com.br/_og/d/c_Ocean.takumi,title_~QXV0ZW50aWNhw6fDo28,props_eyJ0aGVtZSI6eyJtb2RlIjoibGlnaHQiLCJjb2xvcnMiOnsicHJpbWFyeSI6IiMzMEE2NkQifX19,p_Ii9mb3VuZGF0aW9ucy1hdXRoIg,s_XKHcJ8G2paYwGaKM.png"
---

## **Autenticação.**

Três modos, mesmas credenciais. **OAuth 2.0** pra server-to-server, **API Key** pra sandbox, **mTLS** pra Banking — você escolhe o escopo, não o produto.

OAuth 2.0   API Key   mTLS   Scopes

Seu appclient\_id + secretStone OAuthaccess\_tokenSeu app

Server-to-server: troque suas credenciais por um `access_token` com escopo definido. O token expira em 1h por padrão.

A API Unificada Stone suporta **três modos** de autenticação. Você usa o mesmo `client_id` / `client_secret` em todos os produtos — o que muda é o _escopo_ (scopes) que sua aplicação solicita no token.

## [OAuth 2.0 — Client Credentials](#oauth-20-client-credentials)

Recomendado pra todos os fluxos server-to-server. Troque suas credenciais por um `access_token` de curta duração e use-o no header `Authorization`.

cURL

```bash
curl -X POST https://api.stone.com.br/oauth/token \
  -u "$CLIENT_ID:$CLIENT_SECRET" \
  -d "grant_type=client_credentials" \
  -d "scope=payments.write banking.read"
```

Node.js

```javascript
import Stone from '@stone/node';

const client = new Stone({
  clientId: process.env.STONE_CLIENT_ID,
  clientSecret: process.env.STONE_CLIENT_SECRET,
  environment: 'production'
});
// O SDK gerencia o token e renova antes de expirar.
```

Python

```python
from stone import Stone

client = Stone(
    client_id=os.environ["STONE_CLIENT_ID"],
    client_secret=os.environ["STONE_CLIENT_SECRET"],
)
```

Resposta:

```json
{
  "access_token": "eyJhbGci...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "scope": "payments.write banking.read"
}
```

## [API Key — sandbox e leitura](#api-key-sandbox-e-leitura)

Para protótipos e ferramentas de leitura. **Não use em produção para escrita.**

```bash
curl https://sandbox.api.stone.com.br/v1/charges \
  -H "Authorization: Bearer sk_test_4eC39Hq..."
```

## [mTLS — obrigatório em Banking](#mtls-obrigatório-em-banking)

Endpoints regulados pelo BCB (Pix recebido, transferências, abertura de conta) exigem certificado digital ICP-Brasil A1 ou A3.

## [Escopos disponíveis](#escopos-disponíveis)

| Escopo                         | Produtos                                         |
| :----------------------------- | :----------------------------------------------- |
| payments.read / payments.write | Checkout, Stone Online, AutoTEF                  |
| banking.read / banking.write   | Conta Stone (Pix, transferências, boletos)       |
| pos.manage                     | Connect Stone, SDK Android — gestão de terminais |
| webhooks.manage                | Cadastro/listagem de webhook endpoints           |

## [Boas práticas](#boas-práticas)

Uma app por contexto

Crie uma aplicação por **ambiente** (dev, staging, produção) e uma por **contexto** (back-end vs jobs). Rotacione secrets a cada 90 dias.

Nunca logue o token

O `access_token` é um portador de privilégio. Nunca registre em logs, nunca commite no repositório — trate como senha. Em incidente, rotacione o secret imediatamente no painel.

## [Veja também](#veja-também)

[**Webhooks**Receba eventos assíncronos do Stone API.](https://devcenter.stone.com.br/foundations-webhooks)[**Idempotência**Como evitar cobranças duplicadas em retentativas.](https://devcenter.stone.com.br/foundations-idempotency)[**Referência OAuth API**Endpoints, parâmetros, fluxos completos.](https://devcenter.stone.com.br/apis/oauth/docs)

Siga a Stone nas redes sociais

[](https://www.facebook.com/stonepagamentos/)[](https://x.com/sejastone/)[](https://www.instagram.com/stone/)[](https://br.linkedin.com/company/stone-co)[](https://www.youtube.com/channel/UCk4L4JykgoDkN8YeuxkNqIQ)

© Stone Instituição de Pagamento S.A. CNPJ 16.501.555/0001-57

Av. Rebouças, 2880, 4º andar, Pinheiros, CEP 05.402-500 – São Paulo/SP

Instituição de pagamento autorizada pelo Banco Central do Brasil, nas modalidades de credenciadora e emissora de moeda eletrônica.